सर्व में डायरेक्टरी ट्रैवर्सल (Directory Traversal)

CVE-2018-3712 serve में, एक हमलावर URL-एन्कोडेड वर्णों %2e (डॉट) और %2f (स्लैश) में हेरफेर करके, पथ प्रतिबंधों को बायपास करने और serve प्रक्रिया द्वारा एक्सेस किए जा सकने वाले निर्देशिकाओं की सामग्री तक पहुंचने की अनुमति देता है। यह अपर्याप्त इनपुट सत्यापन के कारण होता है। हालांकि यह भेद्यता व्यक्तिगत फ़ाइलों को सीधे पढ़ने की अनुमति नहीं देती है, लेकिन यह निर्देशिका सामग्री को सूचीबद्ध करने की अनुमति देती है, जिससे फ़ाइल सिस्टम संरचना और फ़ाइल नामों के बारे में संवेदनशील जानकारी का खुलासा हो सकता है। CVSS स्कोर 6.5 है, जो मध्यम जोखिम दर्शाता है। यह भेद्यता 6.4.9 से पहले के संस्करणों को प्रभावित करती है।

1. प्रकाशित2018-07-27
2. संशोधित2023-11-08
3. EPSS अद्यतन2026-04-02

अनुशंसित समाधान serve को संस्करण 6.4.9 या बाद के संस्करण में अपडेट करना है। यह संस्करण अधिक मजबूत पथ सत्यापन को लागू करके इस भेद्यता को ठीक करता है। इस बीच, एक अस्थायी उपाय के रूप में, serve प्रक्रिया की पहुंच को आवश्यक निर्देशिकाओं तक सीमित करने और इसे उन्नत विशेषाधिकारों के साथ चलाने से बचने की सिफारिश की जाती है। संवेदनशील जानकारी के जोखिम को कम करने के लिए इस अपडेट को तुरंत लागू करना महत्वपूर्ण है। अपडेट सिस्टम अखंडता सुनिश्चित करने के लिए एक बुनियादी निवारक उपाय है।